173 Microsoft 365-környezetbe jutottak be egy ConnectWise-hitelesítő adattal
Egyetlen megszerzett szolgáltatói hitelesítő adattal 173 partneri és ügyfélkörnyezetbe jelentkeztek be jogosulatlanul a Huntress megfigyelése szerint. Az eset a ConnectWise Cloud Backup, korábbi nevén SkyKick alkalmazást érinti.
A mentőalkalmazás jogosultságaihoz fértek hozzá
A ConnectWise Cloud Backup az ügyfelek adatainak mentését és helyreállítását végző szolgáltatás. Ehhez széles hozzáférést kap minden bérlőben, ahová telepítették: a postafiókokhoz, a OneDrive-, SharePoint- és Teams-adatokhoz, valamint a címtáradatokhoz. A megszerzett hitelesítő adat minden olyan Microsoft 365-bérlőnél használható, ahol engedélyezték az alkalmazást.
A Huntress szerint a támadók október 15-én 6:13 és 8:34 (UTC) között egyetlen IP-címről szereztek Microsoft Graph-tokeneket az ügyfélbérlőkben.
A Todyl szerint a felhasználói munkamenetek visszavonása nem szünteti meg ezt a hozzáférést. A letiltás megakadályozza új hozzáférési tokenek kiadását, de a korábban kiadottak akár 90 percig érvényesek maradhatnak.
Más alkalmazásokhoz is adtak új hitelesítő adatokat
Legalább egy partnerkörnyezetben egy külön ConnectWise-alkalmazás globális rendszergazdai jogosultságot rendelt magához, majd más megbízható alkalmazásokhoz új hitelesítő adatokat adott.
A ConnectWise közlése szerint további értesítésig lezárta a Cloud Backup alkalmazás hozzáférését. A cég nem talált bizonyítékot arra, hogy a partnerek mentett adatai kompromittálódtak volna.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum